앤트로픽(Anthropic)은 알리바바, 딥시크(DeepSeek), 문샷(Moonshot AI) 등 중국 기반 AI 기업 7곳이 클로드(Claude)의 능력을 몰래 빼내는 대규모 '불법 증류(distillation)' 공격을 수행했다고 밝혔습니다. 이들은 수천 개의 가짜 계정과 훔친 신용카드·API 키를 이용해 클로드에 접근하고, 사용자 대화 내용을 무단으로 수집해 자사 AI 모델 훈련에 활용했습니다. 피해 규모는 최대 1억 5,100만 건의 대화 교환에 달하며, 일반 사용자·다국적 기업·국가 연계 기관의 민감한 정보도 포함된 것으로 확인됐습니다. 앤트로픽은 재판매 계정 차단, 내부 추론 요약 처리, 추론 암호화 등 기술적 대응책을 이미 적용했으며, 미국 사이버보안 당국도 중국 AI 기업들의 조직적인 미국 프론티어 모델 탈취 행위를 공식 경고했습니다.
중국 기반 AI 기업 7곳(알리바바, 딥시크, 문샷, Zhipu, 샤오미, SenseTime, MiniMax)이 2026년 2월 이후 클로드를 대상으로 총 6건 이상의 불법 증류 공격을 수행했다. 가짜 계정·훔친 신용카드·불법 취득 API 키로 구성된 프록시 네트워크를 활용해 클로드에 무단 접근했다.
최대 1억 5,100만 건의 대화 교환이 도용됐으며, 일반 사용자·다국적 기업·국가 연계 기관의 민감 정보가 노출됐다. 일부 기업은 자사 사용자의 요청을 무단으로 클로드에 중계해 사용자가 자신의 대화가 외부로 전송되는 사실을 전혀 알지 못했다.
프록시 서비스(중계 서버)를 통한 우회 접근, 훔친 결제 수단·API 키·계정 정보 악용, 그리고 대화 기록을 수집·재판매하는 제3자 리셀러 생태계가 복합적으로 작용했다.
앤트로픽은 중국·이란·러시아 등 미지원 지역 계정 및 리셀러 계정을 차단하고, 내부 추론(chain-of-thought)을 요약 형태로만 제공해 증류 데이터 유용성을 낮췄다. Fable 5.1 모델에서는 추론 구간을 암호화하고 멀티턴 대화에서 시스템 프롬프트 변조를 차단하는 'preserved thinking' 기능을 도입했다.
기업 보안 담당자는 자사가 사용 중인 AI API 키 관리 현황을 점검하고, 내부 직원이 비공식 프록시 서비스를 통해 AI 모델에 접근하지 않도록 통제해야 한다. 또한 AI 벤더에 제출되는 민감 정보의 범위와 데이터 처리 방침을 재확인할 필요가 있다.
본문
Ravie Lakshmanan 2026년 9월 11일 | 인공지능 / 사이버범죄
앤트로픽(Anthropic)은 목요일, 알리바바(Alibaba), 문샷(Moonshot), 딥시크(DeepSeek), Z.ai(Zhipu), MiniMax 등 중국 기반 7개 AI 연구소로부터 산업적 규모의 불법 증류(distillation) 공격을 탐지하고 차단했다고 발표했다.
지식 증류(Knowledge distillation) 자체는 합법적인 학습 기법이다. 이는 크고 강력한 AI 모델이 "교사" 역할을 맡아, 작거나 속도가 빠른 "학생" 모델이 그 능력을 모방하도록 훈련하는 머신러닝 기술을 말한다.
반면 불법 증류는 모델의 능력을 은밀하게 대규모로 추출해 권한 없이 다른 모델에 복제하는 산업적 규모의 캠페인이다. 주로 훔친 신용카드, 로그인 자격증명, API 키로 만들어진 가짜 계정 네트워크를 활용한다.
구글(Google)과 OpenAI를 비롯한 서방 프론티어 AI 기업들도 자사 모델을 겨냥한 증류 공격을 반복적으로 지적해 왔다. 앤트로픽은 무허가 연구소들이 자사의 방어 체계를 우회하고 에이전틱(agentic) 기능 및 툴 사용, 코딩 및 데이터 분석, 논리적 추론 등의 능력을 수집하기 위해 "점점 더 정교한 방법"을 사용하는 것을 관찰했다고 밝혔다. 여기에는 프롬프트 조작 기법이 동원됐다.
앤트로픽은 "딥시크, 샤오미(Xiaomi), 문샷은 자사 모델과 사용자 간의 대화를 클로드에 입력했다"며 "이들 연구소는 클로드의 응답을 학습 데이터로 활용해 클로드의 능력을 증류했다. 이 과정에서 주고받은 대화 일부에는 개인 사용자, 대형 다국적 기업, 국가 연계 기관의 민감한 정보가 포함돼 있었다"고 설명했다.
앤트로픽에 따르면, 이들 무허가 AI 연구소는 일반적으로 프록시 서비스(전송·중계 스테이션이라고도 불림)를 통해 자사 모델에 접근한다. 프록시 서비스는 허위 신원, 가짜 또는 훔친 신용카드, 합법적인 기업이나 개인에게 속한 불법 취득 API 키를 이용해 수천 개의 신규 계정을 생성한다.
앤트로픽은 또한 무허가 AI 연구소들이 미국 프론티어 모델과 사용자 간의 대화 기록을 제3자 리셀러로부터 구매하는 방식도 사용한다고 밝혔다. 이 리셀러들은 사용자의 인지나 동의 없이 대화를 저장하는 프록시 서비스 운영자들이다.
앤트로픽은 "다른 경우에는 무허가 연구소들이 자사 사용자들의 요청을 클로드로 우회 전달하면서 — 사용자의 인지나 허가 없이 — 사용자와 클로드 간의 대화를 수집해 학습에 활용했다"고 지적했다.
2026년 2월 이후, 앤트로픽은 중국 기반 AI 연구소들이 자사 모델 발전을 위해 수행한 6건의 불법 증류 캠페인을 탐지했다.
- GTG-16005 (2026년 5월~7월 관측 1억 5,100만 건): 알리바바 계열 운영자 클러스터가 클로드 Opus 4.6 및 4.7의 체인 오브 소트(CoT, chain-of-thought) 추론 기록을 표적으로 삼았으며, "역대 가장 큰 규모의 증류 공격"으로 평가됐다. 3,500개 이상의 사기 계정에서 하루 최대 약 300만 건의 교환이 발생했으며, 에이전틱 작업, 소프트웨어 엔지니어링, 커널 개발, 장기적(long-horizon) 과제를 표적으로 삼았다.
- GTG-16002 (2026년 5월~7월 관측 2,300만 건): 문샷 AI(Moonshot AI)가 자사 Kimi 모델로 처리하는 대신 고객 요청을 클로드로 몰래 우회 전달하고, 클로드의 응답을 사용자에게 표시했다. 동시에 이 교환의 일부를 저장해 자사 CoT 모델 훈련에 사용했다. 10일 동안 싱가포르와 일본에 소재한 5,380개의 사기 계정 프록시 네트워크를 통해 앤트로픽에 약 30만 건의 고객 요청을 중계한 것으로 파악됐다.
- GTG-16001 (2026년 7월 14일간 1,210만 건 이상 관측): 딥시크가 문샷 AI와 동일한 방식으로 고객에게 알리지 않고 대화를 클로드에 중계하고 CoT 기록을 추출했다.
- GTG-16006 (2026년 6월~7월 17일간 340만 건 이상 관측): Zhipu(Z.ai)가 CoT 추출 파이프라인을 운영하며 클로드의 추론 기록을 클로드에 재입력해 자사 모델 학습에 활용했다. 273개의 사기 계정을 순환하며 활동이 이뤄졌다.
- GTG-16008 (2026년 3월~4월 20일간 40만 건 이상 관측): 샤오미가 OpenClaw 및 OpenCode 코딩 하네스를 통해 자사 MiMo 모델과의 사용자 대화 및 코딩 세션을 클로드에 재입력해 향후 모델 학습 데이터를 보강했다.
- GTG-16012: 센스타임(SenseTime)이 클로드와 사용자 간의 대화 기록을 제3자 데이터 벤더로부터 구매했다.
- GTG-16003: MiniMax가 앤트로픽과 OpenAI 개발 모델에 대한 접근을 제공하는 페이퍼컴퍼니(shell company)를 통해 자체 프록시 네트워크 서비스를 구축했으며, 미국 프론티어 모델과 사용자 간의 대화 수집 후 자사 모델 학습에 활용할 목적으로 추정된다.
앤트로픽은 "프록시 서비스의 확산으로 인해 수집된 사용자-클로드 간 대화를 구매하거나 취득할 수 있는 2차 시장이 형성됐다. 일부 프록시 네트워크는 미지원 지역 사용자에게 클로드 접근을 제공하는 동시에 대화를 저장해 다른 연구소에 판매하기도 한다"고 밝혔다.
불법 증류에 대응하기 위해 앤트로픽은 사용자가 신원 확인에 실패할 경우 리셀러 계정이나 중국·이란·러시아 등 미지원 지역에서 운영되는 계정을 차단하고 있다. 또한 무허가 연구소가 클로드의 능력을 증류하기 어렵도록, 모델이 응답하기 전에 내부 추론을 요약 형태로 제공하도록 업데이트해 탈취된 기록의 후속 학습 활용성을 낮췄다.
앤트로픽은 "Fable 5.1에서는 '보존된 사고(preserved thinking)' 기능을 도입해, 새 API 계정이 멀티턴 대화에서 클로드의 추론 이전에 위치한 시스템 프롬프트, 툴, 메시지를 변경하지 못하도록 했다. 해당 추론은 암호화되어 있으나, 그 앞 컨텍스트를 편집하는 것은 공격자들이 클로드의 추론을 노출시키기 위해 사용하는 일반적인 기법이었다"고 덧붙였다.
이번 발표는 앤트로픽이 자국민 감시 및 생물학적 무기 개발을 지원할 수 있는 질병 연구에 자사 모델을 활용하려 한 일부 계정을 차단한 것과 맞물려 나왔다. 이번 주 초에는 미국 사이버보안 및 정보기관들도 중국 AI 기업들이 증류 공격을 통해 미국 프론티어 모델의 독점적 기능과 능력을 "조직적으로 추출"하고 있다고 공식 경고한 바 있다.
